美國司法部於美國時間 2026 年 11 月 12 日宣布，已查扣北韓駭客利用視訊會議竊取加密貨幣的手法「FaceStealer」所使用的雲端基礎設施。根據司法部說法，這項手法在過去 18 個月造成的損失超過 4 億美元。司法部也在同一份公告中指出，在另一起案件中，法院已核准查扣與凍結 10 月 29 日前後自加密貨幣交易所 Binance 遭竊資產中逾 12 億美元的部分。

本文依據美國司法部新聞稿「Justice Department Announces Actions to Disrupt North Korea's Massive Theft of Cryptocurrency」（新聞稿編號 26-1356，2026 年 11 月 12 日）撰寫。

查扣 FaceStealer 基礎設施，並取得逾 900 段受害者影片

根據司法部公告，FaceStealer 是一種社交工程手法，鎖定加密貨幣持有者，以及參與開源軟體供應鏈的人士。過去 18 個月遭竊的加密貨幣超過 4 億美元，另有駭客試圖入侵參與開源開發人士的情形。

此次行動由加州中區聯邦檢察官辦公室與 FBI 洛杉磯分局主導，司法部刑事司、國家安全司，以及哥倫比亞特區聯邦檢察官辦公室也參與其中。FBI 並依據聯邦搜索令，查扣逾 900 段 FaceStealer 受害者的網路攝影機影片。

利用熟人錄影與假故障，誘使受害者安裝惡意軟體

公告說明的手法流程如下：

  • 駭客使用從先前受害者手中竊取的帳號，邀請目標參加視訊會議
  • 目標加入後，駭客暗中錄下目標的網路攝影機畫面，同時播放目標所認識的先前受害者的預錄影片，讓目標以為自己正與可信任的對象交談
  • 有時也會在會議中使用加密貨幣與 Web3 領域知名人士的深偽影片
  • 製造「聽不到對方聲音」之類的假技術故障，並以修復為由提供連結或操作步驟。執行這項「修復」就會安裝惡意軟體
  • 從遭入侵的電腦竊取加密貨幣，或以此作為入侵其他系統的跳板。也有在感染數個月至一年以上後，才發生竊取或帳號遭盜用的案例

駭客也會從遭入侵的裝置讀取聯絡人清單、社群媒體與通訊軟體的對話內容。新受害者的網路攝影機影像，則成為欺騙下一個目標的素材。司法部在新聞稿中，將駭客用來製作知名人士深偽影片的技術稱為「super intelligence（SI）」。

攻擊者被稱為「APT38」「BlueNoroff」等名稱

司法部表示，執行 FaceStealer 的是以 Sapphire Sleet、UNC1069、Dangerous Password、CryptoCore、APT38、BlueNoroff、Stardust Chollima 等名稱為人所知的北韓駭客。這些都是資安業者等單位所取的名稱，司法部並指出，北韓政府透過竊取加密貨幣為政權籌措資金。

Binance 遭竊資產中逾 12 億美元遭查扣與凍結

同一份公告也提及與 FaceStealer 無關的另一起事件：10 月 29 日前後，Binance 有價值逾 60 億美元的加密資產遭竊。司法部認為這是 FBI 稱為「TraderTraitor」的北韓軍方成員所為。遭竊資產中，逾 12 億美元已在法院核准下遭查扣或凍結，政府與民間的凍結金額合計超過 27 億美元。

FBI 公布防範報告並設立專屬網頁

FBI 此次公布了整理防範措施與受害後處理步驟的報告，並設立彙整 FaceStealer 相關資訊的專屬網頁。這項手法的入口是視訊會議邀請，而邀請來自先前受害者遭竊的真實帳號。即使寄件者的名字與臉孔屬於熟人，也不能單憑這點就認定安全。

筆者觀點

筆者認為，這項手法棘手之處不在於深偽的品質，而在於利用真實熟人的帳號與真實的錄影畫面。看到對方的臉、聽到對方的聲音就放心，這種傳統確認方式已不太管用。若在會議中被要求「聽不到你的聲音，請安裝這個工具」，較實際的做法是先離開會議，再透過電話等其他管道向本人確認。

在日本，也有不少加密貨幣持有者、Web3 企業員工與開源開發者，同樣可能成為這項手法的目標。考量到從感染到實際遭竊可能相隔一年以上，若記得曾在可疑的視訊會議中安裝過什麼，不妨考慮檢查自己的裝置。

總結

美國司法部宣布查扣北韓駭客利用視訊會議竊取加密貨幣的手法「FaceStealer」的基礎設施，並表示過去 18 個月的損失超過 4 億美元。此手法的特點是結合熟人錄影、深偽影片與假技術故障，誘使受害者安裝惡意軟體。在另一起 Binance 遭竊案中，法院已核准查扣與凍結逾 12 億美元的資產。